Örnek sorular
Pt Red Team Engagement ManagementZorluk 1
Bir müşteri, sistemlerindeki her zafiyetin tam bir listesini istemek yerine, tespit ve müdahale ekibinin simüle edilmiş bir sızmayı fark edip durdurabilip duramadığının test edilmesini istiyor. Bu talebe en çok hangi angajman türü uyar?
- aBir red team angajmanı, çünkü amacı her kusuru saymak değil, gerçekçi ve hedef odaklı bir simülasyonla tespit/müdahale yeteneğini ölçmektir.✓
- bBir zafiyet taraması, çünkü en kısa sürede en geniş bilinen zafiyet listesini üretir; ancak gizli bir saldırganı simüle etmez ve operasyon ekibinin gerçek, devam eden bir sızmayı gerçekten fark edip etmeyeceğini ortaya koymaz.
- cBir uyumluluk denetimi, çünkü denetçiler yalnızca kağıt üzerinde bir tespit ekibinin var olduğunu doğrular.
- dBir kod incelemesi, çünkü kaynak kodun statik analizi bir SOC'nin bir sızmaya nasıl müdahale ettiğini ölçmenin tek yoludur.
Açıklama:Red teaming hedef odaklı ve gizlidir: gerçek savunmaların (insan, süreç, araç) gerçekçi saldırgan davranışını tespit edip etmediğini ölçer; bu, bilinen zafiyetlerde kapsam hedefleyen bir tarama ya da geniş zafiyet değerlendirmesinden farklıdır.
Pt Red Team Engagement ManagementZorluk 1
Bir purple team çalışmasında, saldırı (red) ve savunma (blue) tarafları gerçek zamanlı olarak birlikte çalışır; hangi eylemlerin yapıldığını ve neyin tespit edilip edilmediğini paylaşarak ilerler. Bu iş birlikçi formatın temel amacı nedir?
- aRed team'in yetkilendirme evraklarını atlamasına izin vermek, çünkü blue team üyeleri zaten bir çalışma yapıldığını bilir.
- bAngajman sonunda yazılı bir rapor ihtiyacını ortadan kaldırmak, çünkü her şey canlı olarak konuşulur; ancak çoğu kuruluş yine de denetim izi, düzeltme takibi ve canlı oturumlara katılmayan paydaşlar için yazılı bir kayda ihtiyaç duyar.
- cHiçbir zafiyetin kalmayacağını garanti etmek, çünkü iki takım arasındaki iş birliği tüm güvenlik zayıflıklarını ortadan kaldırır.
- dTespit boşlukları hakkında anında geri bildirim vererek blue team'in öğrenmesini hızlandırmak; böylece savunmalar, sonradan yazılan bir raporun sağlayacağından daha hızlı iyileşir.✓
Açıklama:Purple teaming'in değeri sıkı geri bildirim döngüsüdür: savunmacılar haftalarca bir rapor beklemek yerine, hangi kontrollerinin tetiklendiğini, hangilerinin sessiz kaldığını ve nedenini neredeyse gerçek zamanlı öğrenir; bu da tespitlerin ve oyun kitaplarının ayarlanmasını hızlandırır.
Pt Red Team Engagement ManagementZorluk 1
Bir red team angajmanında, müşteri tarafında yalnızca küçük, güvenilir bir grup (genellikle white cell veya kontrol grubu denir) çalışmanın yapıldığını bilirken, güvenlik operasyon ekibinin geri kalanı bundan habersiz tutulur. Bu uygulamaya ne denir ve neden önemlidir?
- aUyumluluk feragati denir ve önemlidir çünkü red team'i yasal olarak herhangi bir imzalı yetkilendirmeye ihtiyaç duymaktan muaf tutar.
- b'No-notice' (bildirimsiz) veya kör test tasarımının bir parçasıdır ve önemlidir çünkü müşterinin, operasyon ekibinin duyurulmamış bir sızmaya nasıl tepki verdiğini, önceden bilgi sahibi olmanın sonuçları çarpıtmasına izin vermeden dürüstçe ölçmesini sağlar.✓
- cKapsam ihlali denir ve önemlidir çünkü operasyon ekibini habersiz bırakmak en iyi pratiğe aykırıdır ve her zaman kaçınılmalıdır; oysa gerçekte no-notice test, prova edilmiş davranışın gerçek tespit boşluklarını gizlemesini önlediği için kasıtlı ve yaygın şekilde tavsiye edilen bir tasarım tercihidir.
- dZafiyet ifşası denir ve önemlidir çünkü bulunan bir hatanın bir tedarikçiye nasıl bildirileceğini belirler.
Açıklama:Kör ya da 'no-notice' testler, önceden bilgiyi kasıtlı olarak küçük bir kontrol grubuyla sınırlar; böylece çalışma, personelin bir test geldiğini bildiği için prova edilmiş davranışı yerine gerçek tespit ve müdahale davranışını ölçer.
Pt Red Team Engagement ManagementZorluk 1
Bir red team lideri bir adversary emulation (düşman taklidi) çalışması planlıyor ve simüle edilen saldırganın davranışını, gerçek dünya taktik ve tekniklerinin herkese açık, yapılandırılmış bir bilgi tabanına dayandırmak istiyor. Bu planlama düzeyinde hangi kaynak türünden bahsediliyor?
- aBir CVE veritabanı, çünkü saldırgan davranış kalıplarından ziyade belirli yazılım zafiyetlerini listeler ve bu yüzden bir gerçek dünya saldırganının genel kampanyasını taklit etmek için gereken taktik ve prosedür dizisini tanımlayamaz.
- bBir parola kırma kelime listesi, çünkü planlama sırasında kullanılan yapılandırılmış bir koleksiyondur.
- cBir şirketin dahili İK dizini, çünkü saldırgan davranışını değil rolleri belgeler.
- dMITRE ATT&CK gibi bir çerçeve, çünkü bilinen saldırgan taktik ve tekniklerini kataloglar ve kuruluşun gerçek tehdit profiline uyan gerçekçi bir senaryo seçmek için yaygın olarak kullanılır.✓
Açıklama:Planlama düzeyinde, adversary emulation genellikle hangi gerçek dünya saldırgan davranışlarının modelleneceğini seçmek için bir taktik-teknik bilgi tabanına (en yaygın olarak MITRE ATT&CK) başvurur; bu seçim, kuruluşu hedef alması muhtemel aktörlere dair tehdit istihbaratıyla eşleştirilir.
Pt Red Team Engagement ManagementZorluk 1
Yönetim perspektifinden, geleneksel bir pentest ile bir red team angajmanı arasındaki temel işlevsel fark nedir?
- aBir pentest her zaman daha fazla test uzmanı gerektirdiği için bir red team angajmanından daha pahalıya mal olur.
- bGerçek bir fark yoktur; her kuruluş ve çerçeve iki terimi birbirinin yerine kullanır, bu yüzden kapsamlandırma görüşmelerinin gerçekte hangi angajman türünün istendiğini, hangi teslimatın üretileceğini veya başarının sonunda nasıl ölçüleceğini netleştirmesine hiç gerek yoktur.
- cBir pentest genellikle sınırlı bir sürede tanımlı bir kapsam içindeki zafiyetlerin geniş kapsamda taranmasını hedefler; bir red team angajmanı ise tespit ve müdahaleyi test etmek için belirli hedefleri gizlice takip eder.✓
- dBir pentest her zaman dahili bir ekip tarafından yapılır, bir red team angajmanı ise her zaman harici bir tedarikçiye verilir.
Açıklama:Yönetim düzeyindeki ayrım: pentestler genellikle kapsam içindeki mümkün olduğunca fazla zafiyeti bulmayı (kapsamı) optimize ederken, red team angajmanları belirli hedeflere karşı gerçekçilik ve gizliliği optimize eder ve kuruluşun tespit/müdahale kabiliyetini ölçer.
Pt Red Team Engagement ManagementZorluk 2
Bir red team angajmanının, genel rules of engagement (kapsam) belgesinden ayrı olarak müşterinin güvenlik operasyon merkezi (SOC) ile neden genellikle açık bir 'deconfliction' (karışıklık önleme) sürecine ihtiyacı vardır?
- aBöylece SOC çalışma sırasında şüpheli bir etkinlik tespit ederse, güvenilir bir irtibat kişisi bunun red team'in simüle etkinliği mi yoksa gerçek, ilgisiz bir saldırgan mı olduğunu hızla teyit edebilir; bu da boşa harcanan müdahale çabasını veya kaçırılan gerçek bir sızmayı önler.✓
- bBöylece red team, sürecin yazılmasıyla ilgili ek evrak işi için fazladan saat faturalandırabilir; bunun, canlı çalışma penceresinde simüle etkinliği gerçek bir saldırgandan ayırt etmekle hiçbir ilgisi yoktur ve SOC'yi yanlış bir alarma çaba harcamaktan korumaz.
- cBöylece SOC, belgelenmiş bir gerekçeye ihtiyaç duymadan angajmanı istediği zaman iptal edebilir.
- dBöylece müşterinin hukuk ekibi rules of engagement'ı gözden geçirmekten tamamen kaçınabilir.
Açıklama:Deconfliction, SOC şüpheli bir şey işaretlediğinde kontrol grubuna 'bu biz miyiz?' sorusunu hızlıca kontrol edebileceği güvenilir bir kanal sağlar; bu, iki başarısızlık modunu önler: red team'i gerçek bir olaymış gibi kovalamak ya da gerçek bir saldırganı 'muhtemelen çalışmadır' diyerek göz ardı etmek.